Un playbook SOAR codifica la risposta a un tipo di incidente in passi automatizzabili, così che l'azione non dipenda dall'analista sveglio alle 3 di notte. L'esempio classico – endpoint sospettato di infezione – illustra bene la struttura:
- trigger: un allarme EDR ad alta confidenza
- arricchimento automatico: reputazione dell'hash/IP, l'utente e la criticità della macchina, correlazione con altri eventi – il contesto che decide la gravità
- contenimento: isolare l'endpoint dalla rete (ma non spegnerlo – preservi la memoria volatile per l'indagine), bloccare l'hash, revocare le sessioni
- notifica ed escalation: avvisare il team, aprire il caso
- il gate umano dove serve: le azioni irreversibili o ad alto impatto aspettano l'approvazione – automatizzare tutto alla cieca crea nuovi disastri
È esattamente il principio dei permessi degli agenti: automatizza il reversibile, chiedi conferma sull'irreversibile. Il playbook giusto è quello provato (le automazioni non testate falliscono proprio nell'emergenza) e misurato (riduce l'MTTR senza aumentare i danni collaterali). Si progetta partendo dai propri incidenti reali più frequenti, non dai template generici.